ISO 27001 и NIS2: что охватывает ISO, пункт за пунктом

Собственное сопоставление ENISA связывает каждую техническую меру из Регламента о реализации NIS2 с ISO 27001. Так почему же сертификата ISO недостаточно? Ответ кроется в том, что сопоставление не охватывает.

Если у вас есть сертификат ISO 27001 и на вас распространяется NIS2, первый вопрос — какая часть работы уже выполнена. Хорошая новость в том, что ENISA, агентство ЕС по кибербезопасности, ответило на большую часть этого вопроса: его руководство по внедрению сопоставляет каждый пункт Регламента о реализации NIS2 с пунктами ISO 27001 или контролями приложения A.

Вот как выглядит это сопоставление требование за требованием и какие части NIS2 оно не затрагивает.

Главная цифра

Из 49 пункты требований NIS2 49 (100%) сопоставлены с чем-либо в ISO 27001, 0 связаны лишь косвенно, а для 0 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Каждый из пунктов требований в приложении Регламента о реализации (ЕС) 2024/2690 имеет соответствие в ISO 27001. Эти связи взяты из собственной таблицы сопоставления ENISA, а не из нашего суждения, поэтому они помечены как соответствия.

Каждый пункт NIS2 и его аналог в ISO

NIS2	Требование	Совпадение	ISO 27001
1.1	Policy on the security of network and information systems	Соответствия	A.5.1 A.5.37 Clause 5.2 A.5.4
1.2	Roles, responsibilities and authorities	Соответствия	A.5.2 A.5.4 A.5.3 Clause 5.3
2.1	Risk management framework	Соответствия	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3 A.5.7
2.2	Compliance monitoring	Соответствия	A.5.31 Clause 9.1 A.5.36 A.5.35
2.3	Independent review of information and network security	Соответствия	A.5.31 A.5.36 Clause 9.1 A.5.35
3.1	Incident handling policy	Соответствия	A.5.24 A.5.25 A.5.26
3.2	Monitoring and logging	Соответствия	A.5.25 A.8.15 A.8.16 A.8.17
3.3	Event reporting	Соответствия	A.5.5 A.6.8
3.4	Event assessment and classification	Соответствия	A.5.25 A.8.16
3.5	Incident response	Соответствия	A.5.24 A.5.25 A.5.26 A.5.28
3.6	Post-incident reviews	Соответствия	A.5.27 Clause 10.1
4.1	Business continuity and disaster recovery plan	Соответствия	A.5.29 A.5.30 A.8.14
4.2	Backup management	Соответствия	A.5.30 A.8.13 A.8.14
4.3	Crisis management	Соответствия	A.5.26 A.5.29 A.5.30 A.8.14
5.1	Supply chain security policy	Соответствия	A.5.19 A.5.20 A.5.21 A.5.22
5.2	Directory of suppliers and service providers	Соответствия	A.5.19 A.5.20 A.5.22
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Соответствия	A.5.19 A.5.20 A.5.21 A.5.22
6.2	Secure development life cycle	Соответствия	A.8.25 A.8.26 A.8.28 A.8.29
6.3	Configuration management	Соответствия	A.8.9
6.4	Change management, repairs and maintenance	Соответствия	A.7.13 A.8.32 Clause 6.3 Clause 8.1
6.5	Security testing	Соответствия	A.8.8 A.8.29 A.8.33 A.8.34
6.6	Security patch management	Соответствия	A.8.8 A.8.31 A.8.32
6.7	Network security	Соответствия	A.8.20 A.8.21 A.8.22 A.8.16
6.8	Network segmentation	Соответствия	A.5.15 A.8.5 A.8.20 A.8.21
6.9	Protection against malicious and unauthorised software	Соответствия	A.5.14 A.8.19 A.8.1 A.8.7
6.10	Vulnerability handling and disclosure	Соответствия	A.8.8
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Соответствия	Clause 6.1.1 Clause 6.1.3 Clause 6.2 Clause 9.1
8.1	Awareness raising and basic cyber hygiene practices	Соответствия	A.6.3 Clause 7.3 A.8.7
8.2	Security training	Соответствия	A.6.3 Clause 7.3 Clause 7.2
9.1	Cryptography	Соответствия	A.8.24 A.5.31
10.1	Human resources security	Соответствия	A.6.2 A.6.3 Clause 7.1 Clause 7.2
10.2	Verification of Background	Соответствия	A.6.1 A.6.4 A.8.16
10.3	Termination or change of employment procedures	Соответствия	A.6.5
10.4	Disciplinary process	Соответствия	A.6.1 A.6.4 A.8.16 A.5.28
11.1	Access control policy	Соответствия	A.5.15 A.5.16 A.5.18 A.8.3
11.2	Management of access rights	Соответствия	A.5.15 A.5.16 A.5.18 A.8.3
11.3	Privileged accounts and system administration accounts	Соответствия	A.8.2 A.8.18
11.4	Administration systems	Соответствия	A.8.2 A.8.18
11.5	Identification	Соответствия	A.5.15 A.5.16 A.5.18 A.8.3
11.6	Authentication	Соответствия	A.5.15 A.8.5 A.8.22 A.5.17
11.7	Multi-factor authentication	Соответствия	A.8.5
12.1	Asset classification	Соответствия	A.5.12 A.5.13 A.5.9
12.2	Handling of assets	Соответствия	A.5.14 A.8.10 A.8.11 A.5.9
12.3	Removable media policy	Соответствия	A.5.14 A.8.10 A.8.11 A.8.12
12.4	Asset inventory	Соответствия	A.5.9 A.5.11 A.7.14
12.5	Deposit, return or deletion of assets upon termination of employment	Соответствия	A.5.11 A.5.18 A.8.24
13.1	Supporting utilities	Соответствия	A.7.1 A.7.2 A.7.3 A.7.4
13.2	Protection against physical and environmental threats	Соответствия	A.7.1 A.7.2 A.7.3 A.7.4
13.3	Perimeter and physical access control	Соответствия	A.7.1 A.7.2 A.7.3 A.7.4

Читайте таблицу как «где искать в вашей СУИБ», а не как «уже сделано». Сопоставление означает, что контроль ISO касается того же предмета. Выполняется ли пункт NIS2 вашей реализацией, зависит от того, как вы внедрили контроль, и от детализации текста NIS2, которая часто конкретнее приложения A.

Что ISO 27001 вам не даёт

Регламент о реализации охватывает меры управления рисками по статье 21. Сам NIS2 требует большего, и ничего из этого нет в ISO 27001:

Сроки уведомления об инцидентах (статья 23): предварительное уведомление CSIRT или компетентному органу в течение 24 часов с момента, когда стало известно о значительном инциденте, уведомление в течение 72 часов и итоговый отчёт в течение одного месяца. ISO 27001 требует управления инцидентами, но не уведомления регулятора по таймеру.
Ответственность руководства (статья 20): руководящий орган должен утверждать меры, контролировать их, участвовать в обучении и может быть привлечён к ответственности. Пункт 5 ISO требует приверженности руководства, что слабее.
Регистрация в национальном органе и надзор с его стороны.
Область охвата: сертификат ISO может охватывать часть организации. NIS2 применяется к организации в целом.

Некоторые пункты приложения также идут дальше соответствующего контроля ISO. Безопасность цепочки поставок, обработка уязвимостей и их раскрытие, а также криптография — типичные примеры: контроль в ISO существует, но NIS2 формулирует требования подробнее.

Обратное направление: что NIS2 не включает из ISO

Из 123 Контроли приложения A и разделы ISMS ISO 27001 104 (85%) сопоставлены с чем-либо в NIS2, 13 связаны лишь косвенно, а для 6 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Требования ISO, которым не соответствует ни один пункт NIS2, касаются механики систем менеджмента:

ISO 27001	Требование	Совпадение	NIS2
Clause 4.3	Determining the scope of the ISMS	Нет сопоставления в наших данных	—
Clause 5.1	Leadership and commitment	Нет сопоставления в наших данных	—
Clause 7.5.1	General	Нет сопоставления в наших данных	—
Clause 7.5.2	Creating and updating	Нет сопоставления в наших данных	—
Clause 7.5.3	Control of documented information	Нет сопоставления в наших данных	—
Clause 10.2	Nonconformity and corrective action	Нет сопоставления в наших данных	—

NIS2 не требует поддерживать сертифицируемую систему менеджмента, поэтому определение области СУИБ, управление документами и формальные корректирующие действия не имеют прямого аналога. Это работает в обе стороны. Организации, которая с нуля строит соответствие NIS2, они не нужны, но СУИБ даёт самое убедительное доказательство эффективности ваших мер, а статья 21(2)(f) как раз этого и требует.

Фотография планшета с частично отмеченным контрольным списком, лежащего на стопке сброшюрованных документов на столе для совещаний — Сопоставление — это перечень того, где искать, а не доказательство соответствия.

Что делать, если у вас есть ISO 27001

Подтвердите, что вы попадаете в сферу действия национального законодательства каждой страны, в которой работаете, и зарегистрируйтесь там, где это требуется.
Проверьте, что область сертификата охватывает всю организацию, а не только один сервис или площадку.
Проведите сопоставление от вашей Декларации о применимости к пунктам приложения, указанным выше; наш отчёт о разрывах ISO 27001 → NIS2 экспортирует его в виде трекера.
Добавьте в СУИБ то, что ISO не охватывает: процедуру уведомления со сроками 24 и 72 часа, обучение руководства и регистрацию. Если включить их в СУИБ, внутренний аудит и инспекционные аудиты будут проверять их тоже.
Углубите контроли там, где NIS2 конкретнее, начиная с безопасности цепочки поставок и обработки уязвимостей.

Для общей картины см. наше руководство по NIS2 и полное сравнение ISO 27001 и NIS2.

Вопросы

Делает ли сертификация ISO 27001 вас соответствующими NIS2?

Нет. Она охватывает большую часть технических и организационных мер, но NIS2 добавляет сроки уведомления об инцидентах, обучение руководства и его ответственность, регистрацию в национальном органе и некоторые требования, которые конкретнее приложения A. Соответствие определяют национальные органы, а не органы по сертификации.

Что такое Регламент о реализации NIS2?

Регламент Комиссии (ЕС) 2024/2690 о реализации подробно описывает меры статьи 21 NIS2 для провайдеров DNS, реестров доменов верхнего уровня, облачных провайдеров и провайдеров центров обработки данных, управляемых (включая охранные) сервисных провайдеров, онлайн-торговых площадок, поисковых систем, социальных сетей и поставщиков доверительных услуг.

Данные на 2026-10-27: цифры в этой публикации рассчитаны по текущей таблице соответствий и обновляются при её изменении. Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Не является консультацией по соответствию.

Что ISO 27001 покрывает в NIS2, пункт за пунктом